Sicherheitsforscher haben Googles Anti-Phishing-Erweiterung “Passwort-Warnung” für Chrome bereits nach einem Tag ausgehebelt. Paul Moore demonstrierte am Donnerstag in einem YouTube-Video, wie sich das Warnsystem mit Leichtigkeit umgehen lässt. Dafür hat er lediglich sieben Codezeilen in eine Website eingefügt.
Vergangenen Mittwoch hatte Google das Plug-in Passwort-Warnung kostenlos veröffentlicht. Es soll Nutzer vor schädlichen Websites warnen, die vorgeben von Google zu stammen, um auf diese Weise an private Informationen zu gelangen – eine Praxis, die allgemein als Phishing bekannt ist.
“Vereinfacht ausgedrückt, muss jemand, der einen Phishing-Angriff auf ein Google-Konto starten will, lediglich diese sieben Codezeilen hinzufügen, um den Passwort-Warnung-Schutz nutzlos zu machen”, sagte Moore am Freitag in einem Interview mit Forbes. “Es ist wirklich beschämend.”
Moore hat für die Umgehung der Funktion zunächst eine gefälschte Google-Anmeldeseite erstellt. Auf den ersten Blick lässt sie sich nicht vom Original unterscheiden. Allerdings hat der Sicherheitsforscher einen JavaScript-Code eingebaut, der die Funktionsweise von Passwort-Warnung dahingehend beeinflusste, dass die Warnmeldung lediglich 5 Millisekunden lang angezeigt wurde. Nutzer können sie auf diese Weise praktisch nicht mehr wahrnehmen.
Nach der Veröffentlichung des Exploits, erklärte Google-Entwickler Andrew Hintz via Twitter, dass mit Version 1.4 der Fehler beseitigt wurde. Nutzer sollten schnellstmöglich die Erweiterung aktualisieren. Dafür müssen sie chrome://extensions/ im Browser aufrufen, den Entwicklermodus aktivieren und auf “Erweiterungen jetzt aktualisieren” klicken.
Moore konnte allerdings auch die gepatchte Version 1.4 überlisten, wie er auf Twitter schrieb. Am 1. Mai veröffentlichte Google Version 1.6 von Passwort-Warnung. Moore zufolge steht dafür aber bereits ein Exploit bereit. Daher fragt er in Richtung Jared Cohen, Direktor von Google Ideas: “Angesichts der Tatsache, dass mehr Exploits erschienen als Tage seit der Einführung vergangen sind, wird Google diese Idee aufgeben?”.
Passwort-Warnung sollte eigentlich darauf achten, dass Passwörter nicht auf Phishing-Seiten eingegeben werden. Sollte dies doch passieren, gibt es einen Warnhinweis aus mit der Empfehlung, das Passwort zu wechseln.
Google weist selbst darauf hin, dass das Add-on mit der “Safe Browsing“-Technik verwandt ist, die durch ein rotes Stoppschild vor gefährlichen Seiten warnt. Dem Unternehmen zufolge identifiziert sie “zum Beispiel Malware, Phishing sowie manipulierte und unerwünschte Software zuverlässig”. Auch die Sicherheitsprüfung für Konten gehe in diese Richtung.
[mit Material von Björn Greif, ZDNet.de]
Tipp: Wie gut kennen Sie Google? Testen Sie Ihr Wissen – mit dem Quiz auf silicon.de.
Mit gemeinsamen Angeboten in den Bereichen Vermarktung, KI, Content und Cloud will man "unabhängigen Journalismus…
Bereits seit einigen Jahren führt die RGF Staffing Germany Schulungen durch, um die eigenen Mitarbeiter…
Das Europäische Forschungsprojekt XMANAI hat den Blick in die KI geöffnet und macht ihre Entscheidungsprozesse…
Hacker nutzen LLM weniger als visionäre Alleskönner-Technologien, sondern als effiziente Werkzeuge zum Verbessern von Standardangriffen,…
Der "ARIS AI Companion" soll alle Mitarbeitenden darin befähigen, Prozesse zu analysieren und Ineffizienzen aufzudecken.
Kurz vor der Fußball-Europameisterschaft in Deutschland nehmen die Cyberbedrohungen für Sportfans zu, warnt Marco Eggerling…
View Comments
Das zeigt nur ein weiteres mal: Absolute Sicherheit kann es nicht mehr geben. Ein adaptiver Ansatz scheint mir derzeit die besten Antworten auf multiple Bedrohungen zu liefern. Ist der Urheber beispielsweise ein bereits bekannter Angreifer, können die Daten früherer Angriffe Aufschluss über die wahrscheinlichsten Tools, Taktiken und Prozesse (TTPs) des Angreifers geben. Dadurch wiederum können Sicherheitsteams leichter bestimmen, nach welcher Art von Malware sie suchen müssen, welche Assets am stärksten gefährdet sind und worauf sie sich besonders konzentrieren müssen, vgl. http://w.idg.de/1HYcA7n.
Dietmar Müller,
im Namen von IDG und FireEye